שילוב של CrowdStrike Falcon עם Google SecOps

במאמר הזה מוסבר איך לשלב את CrowdStrike Falcon עם Google Security Operations.

השילוב הזה משתמש ברכיב אחד או יותר של קוד פתוח. אתם יכולים להוריד עותק של קוד המקור המלא של השילוב הזה מהקטגוריה של Cloud Storage.

תרחישים לדוגמה

בפלטפורמת Google SecOps, השילוב של CrowdStrike Falcon פותר את התרחישים הבאים לדוגמה:

  • הכלה אוטומטית של תוכנות זדוניות: שימוש ביכולות של פלטפורמת Google SecOps כדי להכניס באופן אוטומטי את נקודת הקצה המושפעת להסגר, לאחזר את גיבוב הקובץ לניתוח נוסף ולמנוע את התפשטות התוכנה הזדונית. ההכלה האוטומטית של התוכנה הזדונית מופעלת כשהודעת פישינג באימייל מפעילה התראה של CrowdStrike Falcon על הורדת קובץ חשוד.

  • תגובה מהירה לאירועים: אתם יכולים להשתמש ב-Google SecOps כדי לאסוף נתונים לפי הקשר, כמו עצי תהליכים וחיבורים לרשת, לבודד את המארח שנפגע וליצור כרטיס תמיכה לחקירה.

  • איתור איומים וחקירה: משתמשים ביכולות של פלטפורמת Google SecOps כדי לשלוח שאילתות ל-CrowdStrike Falcon לגבי פעולות ספציפיות של משתמשים, שינויים בקבצים וחיבורים לרשת במהלך תקופה מוגדרת. התכונה "איתור איומים וחקירה" מאפשרת לאנליסטים של אבטחה לחקור איום פנימי פוטנציאלי ולנתח פעילות היסטורית בנקודות קצה, תוך ייעול תהליך החקירה.

  • תגובה לפישינג ותיקון: משתמשים ב-CrowdStrike Falcon ובפלטפורמת Google SecOps כדי לסרוק את הקבצים המצורפים לאימייל, לפתוח אותם בסביבת ארגז חול ולחסום באופן אוטומטי את כתובת האימייל של השולח אם מזוהה פעילות זדונית.

  • ניהול נקודות חולשה: שימוש ביכולות של פלטפורמת Google SecOps כדי ליצור באופן אוטומטי כרטיסי מידע לכל מערכת פגיעה, לתעדף אותם על סמך חומרת הפגיעות וערך הנכס, ולהפעיל תהליכי עבודה אוטומטיים של תיקון. הכלי לניהול נקודות חולשה עוזר לכם לזהות נקודת חולשה קריטית בכמה נקודות קצה.

לפני שמתחילים

לפני שמגדירים את השילוב ב-Google SecOps, צריך לבצע את הפעולות הבאות:

  1. מגדירים את לקוח ה-API של CrowdStrike Falcon.

  2. מגדירים הרשאות לפעולות.

  3. מגדירים את ההרשאות של המחבר.

הגדרת לקוח ה-API של CrowdStrike Falcon

כדי להגדיר לקוח API של CrowdStrike ולראות, ליצור או לשנות לקוחות או מפתחות API, צריך להיות לכם תפקיד FalconAdministrator.

הסודות מוצגים רק כשיוצרים לקוח API חדש או מאפסים את לקוח ה-API.

כדי להגדיר את לקוח ה-API של CrowdStrike Falcon:

  1. בממשק המשתמש של Falcon, עוברים אל Support and resources > Resources and tools > לקוחות API ומפתחות. בדף הזה אפשר למצוא לקוחות קיימים, להוסיף לקוחות API חדשים או להציג את יומן הביקורת.
  2. לוחצים על Create API Client (יצירת לקוח API).
  3. נותנים שם ללקוח ה-API החדש.
  4. בוחרים את היקפי ההרשאות המתאימים ל-API.

  5. לוחצים על יצירה. הערכים Client ID ו-Client Secret מופיעים.

    זו הפעם היחידה שבה מוצג הערך של סוד הלקוח. חשוב לשמור אותו במקום בטוח. אם איבדתם את סוד הלקוח, אתם צריכים לאפס את לקוח ה-API ולעדכן את כל האפליקציות שמסתמכות על סוד הלקוח עם פרטי כניסה חדשים.

לפרטים נוספים על הגישה ל-CrowdStrike API, קראו את המדריך Getting Access to the CrowdStrike API בבלוג של CrowdStrike.

הגדרת הרשאות לפעולות

בטבלה הבאה מפורטות ההרשאות המינימליות לפעולות:

פעולה ההרשאות הנדרשות
הוספת הערה להתראה Alerts.Read
Alerts.Write
הוספת הערה לזיהוי Detections.Read
Detection.Write
הוספת הערה לגבי זיהוי של הגנה על הזהות Alerts.Read
Alerts.Write
הוספת הערה לאירוע Incidents.Write
זיהוי סגירה Detections.Read
Detection.Write
הכלה של נקודת קצה (endpoint) Hosts.Read
Hosts.Write
מחיקת IOC IOC Management.Read
IOC Management.Write
הורדת הקובץ Hosts.Read
Real time response.Read
Real time response.Write
הרצת פקודה ‫Hosts.Read
Real time response.Read
Real time response.Write
‫Real time response (admin).Write* לפקודות עם הרשאות מלאות.
קבלת פרטי ההתראה Alerts.Read
קבלת היסט האירוע Event streams.Read
קבלת מארחים לפי IOC לא זמין: הוצא משימוש
קבלת מידע על המארח Hosts.Read
קבלת שם התהליך לפי IOC לא זמין: הוצא משימוש
הסתרת המארחים Hosts.Read
Hosts.Write
נקודת קצה (endpoint) שכלולה ב-Lift Hosts.Read
Hosts.Write
רשימת המארחים Hosts.Read
הצגת רשימה של נקודות חולשה במארח Hosts.Read
Spotlight vulnerabilities.Read
הצגת רשימה של אינדיקטורים לפריצה (IOC) שהועלו IOC Management.Read
סריקה על פי דרישה On-demand scans (ODS).Read
On-demand scans (ODS).Write
פינג Hosts.Read
הרצת הסקריפט Hosts.Read
Real time response.Read
Real time response.Write
Real time response (admin).Write
חיפוש אירועים NGSIEM.Read
NGSIEM.Write
שליחת הקובץ Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
שליחת כתובת URL Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
התראה על עדכון Alerts.Read
Alerts.Write
עדכון הזיהוי Detections.Read
Detection.Write
User management.Read
עדכון הזיהוי של הגנה על הזהות Alerts.Read
Alerts.Write
עריכת האירוע Incidents.Write
עדכון פרטי ה-IOC IOC Management.Read
IOC Management.Write
העלאת IOC IOC Management.Read
IOC Management.Write

הגדרת הרשאות למחבר

בטבלה הבאה מפורטות ההרשאות המינימליות שנדרשות למחברים:

מחבר ההרשאות הנדרשות
מחבר ההתראות של CrowdStrike Alerts.Read
מחבר CrowdStrike Detections Detection.Read
מחבר CrowdStrike Falcon Streaming Events Event streams.Read
מחבר CrowdStrike Identity Protection Detections Alerts.Read
מחבר CrowdStrike Incidents Incidents.Read

נקודות קצה

השילוב של CrowdStrike Falcon יוצר אינטראקציה עם נקודות הקצה הבאות של CrowdStrike Falcon API:

נקודות קצה כלליות ל-API:

  • /oauth2/token

מארחים ומכשירים:

  • /devices/entities/devices/v1
  • /devices/entities/devices-actions/v2

זיהויים ואירועים:

  • /detections/entities/detections/v2
  • /detections/entities/summaries/GET/v1
  • /protection/entities/detections/v1
  • /humio/api/v1/repositories/{repository}/queryjobs
  • /humio/api/v1/repositories/{repository}/queryjobs/{job_id}

סימנים מחשידים (IOC):

  • /intel/entities/indicators/v1
  • /intel/queries/devices/v1

נקודות חולשה:

  • /devices/combined/devices/vulnerabilities/v1

תגובה והכלה:

  • /respond/entities/command-queues/v1
  • /respond/entities/extracted-files/v1

אירועים:

  • /incidents/entities/incidents/GET/v1
  • /incidents/entities/incidents/comments/GET/v1
  • /incidents/entities/incidents/GET/v1

ניתוח קבצים וכתובות URL:

  • /malware-uploads/entities/submissions/v2
  • /url/entities/scans/v1

פרמטרים של שילוב

כדי שהשילוב יפעל כמו שצריך, נדרשת גרסת פרימיום של CrowdStrike Falcon עם יכולות מלאות. פעולות מסוימות לא פועלות בגרסה הבסיסית של CrowdStrike Falcon.

כדי לשלב את CrowdStrike Falcon, צריך להגדיר את הפרמטרים הבאים:

פרמטרים
API Root

שורש ה-API של המכונה של CrowdStrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com
Client API ID חובה

מזהה הלקוח של CrowdStrike API.
Client API Secret חובה

סוד הלקוח של CrowdStrike API.
Verify SSL

אם האפשרות הזו נבחרת, השילוב מאמת אם אישור ה-SSL לחיבור לשרת CrowdStrike Falcon תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Customer ID אופציונלי

מספר הלקוח של הדייר שבו רוצים להפעיל את השילוב. לשימוש בסביבות עם כמה דיירים (MSSP).

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

לפני שממשיכים בהגדרת השילוב, צריך להגדיר את ההרשאות המינימליות שנדרשות לכל פריט בשילוב. פרטים נוספים זמינים במאמר הרשאות לפעולות.

הוספת הערה להתראה

משתמשים בפעולה Add Alert Comment כדי להוסיף תגובה להתראה ב-CrowdStrike Falcon.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה הוספת תגובה להתראה דורשת את הפרמטרים הבאים:

פרמטרים
Alert חובה

המזהה של ההתראה שרוצים לעדכן.
Comment חובה

התגובה שרוצים להוסיף להתראה.

ערכי פלט של פעולות

הפעולה Add Alert Comment מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה הוספת הערה להתראה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike הפעולה בוצעה בהצלחה.

Error executing action "Add Alert Comment". Reason: ERROR_REASON

Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Add Alert Comment:

שם תוצאת הסקריפט ערך
is_success True או False

הוספת הערה לזיהוי – הוצא משימוש

משתמשים בפעולה Add Comment to Detection כדי להוסיף תגובה לזיהוי ב-CrowdStrike Falcon.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

כדי להשתמש בפעולה Add Comment to Detection, צריך להגדיר את הפרמטרים הבאים:

פרמטר תיאור
Detection ID

חובה.

המזהה של הזיהוי שאליו רוצים להוסיף הערה.
Comment

חובה.

ההערה שרוצים להוסיף לזיהוי.

ערכי פלט של פעולות

הפעולה Add Comment to Detection מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
תוצאת הסקריפט יש גישה
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Add Comment to Detection:

שם תוצאת הסקריפט ערך
is_success true או false

הוספת הערה לגבי זיהוי של הגנה על הזהות

משתמשים בפעולה Add Identity Protection Detection Comment כדי להוסיף הערה לזיהוי של הגנה על זהות ב-CrowdStrike.

כדי לבצע את הפעולה הזו, צריך רישיון ל-Identity Protection.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

כדי להשתמש בפעולה Add Identity Protection Detection Comment, צריך להגדיר את הפרמטרים הבאים:

פרמטרים
Detection ID חובה

המזהה של הזיהוי שצריך לעדכן.
Comment חובה

ההערה שרוצים להוסיף לזיהוי.

ערכי פלט של פעולות

הפעולה Add Identity Protection Detection Comment מספקת את הפלט הבא:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Add Identity Protection Detection Comment מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike הפעולה בוצעה בהצלחה.
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

הפעולה נכשלה.

מומלץ לבדוק את האיות.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Add Identity Protection Detection Comment:

שם תוצאת הסקריפט ערך
is_success True או False

הוספת תגובה לאירוע – הוצא משימוש

כדי להוסיף תגובה לאירוע ב-CrowdStrike, משתמשים בפעולה Add Incident Comment.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Add Incident Comment דורשת את הפרמטרים הבאים:

פרמטר תיאור
Incident ID

חובה.

מזהה האירוע שרוצים לעדכן.
Comment

חובה.

התגובה שרוצים להוסיף לאירוע.

ערכי פלט של פעולות

הפעולה Add Incident Comment מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Add Incident Comment מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully added comment to the incident INCIDENT_ID in CrowdStrike הפעולה בוצעה בהצלחה.
Error executing action "Add Incident Comment". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

הפעולה נכשלה.

מומלץ לבדוק את האיות.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Add Incident Comment:

שם תוצאת הסקריפט ערך
is_success True או False

זיהוי סגירה – הוצא משימוש

משתמשים בפעולה Close Detection כדי לסגור זיהוי של CrowdStrike Falcon.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

הפעולה Close Detection דורשת את הפרמטרים הבאים:

פרמטר תיאור
Detection ID

חובה.

מזהה הזיהוי שרוצים לסגור.
Hide Detection

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה מסתירה את הזיהוי בממשק המשתמש.

האפשרות הזו מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Close Detection מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
תוצאת הסקריפט יש גישה
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה סגירת זיהוי:

שם תוצאת הסקריפט ערך
is_success True או False

הכלה של נקודת קצה (endpoint)

משתמשים בפעולה Contain Endpoint כדי להכיל נקודת קצה ב-CrowdStrike Falcon.

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

קלט של הפעולה

הפעולה Contain Endpoint דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Fail If Timeout אופציונלי

אם האפשרות הזו נבחרת ולא כל נקודות הקצה מוכלות, הפעולה נכשלת.

האפשרות הזו מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Contain Endpoint מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרת ישויות יש גישה
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
העשרת ישויות

הפעולה Contain Endpoint תומכת בלוגיקה הבאה של העשרת ישויות:

שדה העשרה לוגיקה
status הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
modified_timestamp הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
major_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
policies הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_platform הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_manufacturer הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
device_policies הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
meta הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
pointer_size הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
last_seen הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_local_time הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
first_seen הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_major הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_product_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type_desc הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
build_number הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
cid הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
local_ip הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
external_ip הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
hostname הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_build הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
minor_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
os_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_base הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
provision_status הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
mac_address הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
device_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Contain Endpoint:

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}
הודעות פלט

הפעולה הכלת נקודת קצה (endpoint) מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

הפעולה בוצעה בהצלחה.
Error executing action "Contain Endpoint". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID

הפעולה נכשלה.

צריך לבדוק את סטטוס נקודת הקצה ואת ערך הפרמטר Fail If Timeout.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Contain Endpoint:

שם תוצאת הסקריפט ערך
is_success True או False

מחיקת IOC

כדי למחוק IOC בהתאמה אישית ב-CrowdStrike Falcon, משתמשים בפעולה מחיקת IOC.

הפעולה הזו מתייחסת לישויות של שמות מארחים כאל אינדיקטורים לפריצה (IOC) של דומיינים, ומחלצת את החלק של הדומיין מכתובות ה-URL. הפעולה הזו תומכת רק בגיבובים של MD5 ו-SHA-256.

הפעולה Delete IOC פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח
  • כתובת URL
  • גיבוב (hash)

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Delete IOC מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Delete IOC:

שם תוצאת הסקריפט ערך
is_success True או False
הודעות פלט

ב-Case Wall, הפעולה Delete IOC מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID

All of the provided IOCs were not a part of CrowdStrike Falcon instance.

 הפעולה בוצעה בהצלחה.
Error executing action "Delete IOC". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

הורדת הקובץ

משתמשים בפעולה Download File כדי להוריד קבצים מהמארחים ב-CrowdStrike Falcon.

כדי לבצע את הפעולה הזו, גם שם הקובץ וגם כתובת ה-IP או ישות של שם מארח צריכים להיות בהיקף של ההתראה ב-Google SecOps.

הקובץ שהורדתם נמצא בחבילת ZIP שמוגנת בסיסמה. כדי לגשת לקובץ, צריך להזין את הסיסמה הבאה: infected.

הפעולה הורדת קובץ פועלת על הישויות הבאות:

  • שם קובץ
  • כתובת IP
  • מארח

קלט של הפעולה

הפעולה הורדת קובץ דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Download Folder Path חובה

הנתיב לתיקייה שבה מאוחסן הקובץ שהורדתם.

הפורמט תלוי בפריסה:

  • פריסת SaaS: הנתיב הוא פנימי לפלטפורמה המארחת.
  • פריסה מרחוק: הנתיב חייב להיות נתיב מוחלט ותקין של ספרייה במחשב המקומי שבו מותקן הסוכן המרוחק (למשל, C:\temp\download ב-Windows או /var/tmp/download/ ב-Linux).
Overwrite חובה

אם בוחרים באפשרות הזו, הפעולה מחליפה את הקובץ עם אותו שם.

האפשרות הזו לא מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה הורדת קובץ מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת ישויות יש גישה
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
טבלת ישויות

הפעולה הורדת קובץ מספקת את טבלת הישויות הבאה:

ישות
filepath הנתיב המוחלט לקובץ.
תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Download File:

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}
הודעות פלט

הפעולה הורדת קובץ מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID

הפעולה בוצעה בהצלחה.
Error executing action "Download File". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.

הפעולה נכשלה.

צריך לבדוק את הערך של הפרמטר Overwrite או למחוק את הקובץ.
Waiting for results for the following entities: ENTITY_ID הודעה אסינכרונית.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה הורדת קובץ:

שם תוצאת הסקריפט ערך
is_success True או False

הרצת פקודה

משתמשים בפעולה Execute Command כדי להריץ פקודות במארחים ב-CrowdStrike Falcon.

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

קלט של הפעולה

הפעולה הפעלת פקודה דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Command חובה

מציינים איזו פקודה להריץ במארחים.
Admin Command אופציונלי

אם האפשרות הזו נבחרת, הפעולה מריצה פקודות עם הרשאות אדמין. ההרשאה הזו נדרשת לפקודות ספציפיות כמו put.

האפשרות הזו לא מסומנת כברירת מחדל.
Hostname אופציונלי

רשימה מופרדת בפסיקים של שמות מארחים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Queue Offline אופציונלי

אם האפשרות הזו נבחרת, פקודות שמטרגטות מארחים אופליין מתווספות לתור ומבוצעות כשהמארח מתחבר מחדש לרשת.

האפשרות הזו לא מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Execute Command מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

ב-Case Wall, הפעולה Execute Command מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID הפעולה בוצעה בהצלחה.
Error executing action "Execute Command". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Waiting for results for the following entities: ENTITY_ID הודעה אסינכרונית.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Execute Command:

שם תוצאת הסקריפט ערך
is_success True או False

קבלת פרטי ההתראה

הפעולה Get Alert Details מאחזרת את פרטי ההתראה ב-CrowdStrike Falcon.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Get Alert Details דורשת את הפרמטרים הבאים:

פרמטר תיאור
Alert ID

חובה.

המזהה הייחודי של ההתראה שממנה רוצים לאחזר פרטים.

ערכי פלט של פעולות

הפעולה Get Alert Details מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מראה את פלט התוצאות ב-JSON שמתקבל כשמשתמשים בפעולה Get Alert Details:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "analyst@example.com",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
הודעות פלט

הפעולה Get Alert Details יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.

 הפעולה בוצעה בהצלחה.
Error executing action "Get Alert Details". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה Get Alert Details:

שם תוצאת הסקריפט ערך
is_success true או false

קבלת היסט האירוע

משתמשים בפעולה Get Event Offset כדי לאחזר את היסט האירועים שמשמש את Streaming Events Connector.

הפעולה הזו מתחילה לעבד אירועים מלפני 30 יום.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Get Event Offset דורשת את הפרמטרים הבאים:

פרמטרים
Max Events To Process חובה

מספר האירועים שהפעולה צריכה לעבד החל מלפני 30 ימים.

ערך ברירת המחדל הוא 10000.

ערכי פלט של פעולות

הפעולה Get Event Offset מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Event Offset:

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
הודעות פלט

הפעולה Get Event Offset מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully retrieved event offset in CrowdStrike Falcon. הפעולה בוצעה בהצלחה.
Error executing action "Get Event Offset". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get Event Offset:

שם תוצאת הסקריפט ערך
is_success True או False

קבלת מידע על המארח

משתמשים בפעולה Get Host Information כדי לאחזר מידע על שם המארח מ-CrowdStrike Falcon.

הפעולה הזו פועלת על הישויות הבאות:

  • שם המארח
  • כתובת IP

קלט של הפעולה

הפעולה Get Host Information דורשת את הפרמטרים הבאים:

פרמטרים
Hostname אופציונלי

רשימה מופרדת בפסיקים של שמות מארחים שיוסתרו ב-CrowdStrike Falcon. הפעולה מעבדת גם את ערכי הקלט שצוינו בפרמטר הזה וגם את הישויות "שם מארח" ו"כתובת IP" שמצורפות לפנייה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Customer ID אופציונלי

מזהה הלקוח (CID) הייחודי של CrowdStrike שמשמש לטירגוט דייר ספציפי. הפרמטר הזה נדרש ב-Falcon Flight Control או בסביבות עם כמה דיירים כדי לבצע את הפעולה ב-CID צאצא ספציפי.

ערכי פלט של פעולות

הפעולה Get Host Information מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרת ישויות יש גישה
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
העשרת ישויות

הפעולה Get Host Information תומכת בלוגיקה הבאה להעשרת ישויות:

שדה העשרה לוגיקה
modified_timestamp הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
major_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
site_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_platform הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
meta הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
first_seen הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type_desc הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
build_number הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
hostname הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_build הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
minor_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
os_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
provision_status הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
mac_address הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
status הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_manufacturer הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
machine_domain הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_local_time הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_major הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
device_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_product_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
local_ip הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
external_ip הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
cid הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_base הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
last_seen הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
pointer_size הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Host Information:

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]
הודעות פלט

הפעולה Get Host Information מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID

Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Error executing action "Get Host Information". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Get Host Information:

שם תוצאת הסקריפט ערך
is_success True או False

Get Hosts by IOC - Deprecated

הצגת רשימה של מארחים שקשורים ל-IOC ב-CrowdStrike Falcon. ישויות נתמכות: שם מארח, כתובת URL, כתובת IP וגיבוב.
הערה: ישויות של שם מארח נחשבות לאינדיקטורים לפריצה (IOC) של דומיין. הפעולה מחלצת את החלק של הדומיין מכתובות ה-URL. יש תמיכה רק בגיבובים מסוג MD5 ו-SHA-256.

ישויות

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח
  • כתובת URL
  • גיבוב (hash)

קלט של הפעולה

לא רלוונטי

ערכי פלט של פעולות

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
העשרת ישויות
שדה העשרה לוגיקה
modified_timestamp מוחזר אם הוא קיים בתוצאת ה-JSON
major_version מוחזר אם הוא קיים בתוצאת ה-JSON
site_name מוחזר אם הוא קיים בתוצאת ה-JSON
platform_id מוחזר אם הוא קיים בתוצאת ה-JSON
config_id_platform מוחזר אם הוא קיים בתוצאת ה-JSON
system_manufacturer מוחזר אם הוא קיים בתוצאת ה-JSON
Meta מוחזר אם הוא קיים בתוצאת ה-JSON
first_seen מוחזר אם הוא קיים בתוצאת ה-JSON
service_pack_minor מוחזר אם הוא קיים בתוצאת ה-JSON
product_type_desc מוחזר אם הוא קיים בתוצאת ה-JSON
build_number מוחזר אם הוא קיים בתוצאת ה-JSON
שם המארח מוחזר אם הוא קיים בתוצאת ה-JSON
config_id_build מוחזר אם הוא קיים בתוצאת ה-JSON
minor_version מוחזר אם הוא קיים בתוצאת ה-JSON
os_version מוחזר אם הוא קיים בתוצאת ה-JSON
provision_status מוחזר אם הוא קיים בתוצאת ה-JSON
mac_address מוחזר אם הוא קיים בתוצאת ה-JSON
bios_version מוחזר אם הוא קיים בתוצאת ה-JSON
agent_load_flags מוחזר אם הוא קיים בתוצאת ה-JSON
סטטוס מוחזר אם הוא קיים בתוצאת ה-JSON
bios_manufacturer מוחזר אם הוא קיים בתוצאת ה-JSON
machine_domain מוחזר אם הוא קיים בתוצאת ה-JSON
Device_policies מוחזר אם הוא קיים בתוצאת ה-JSON
agent_local_time מוחזר אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp מוחזר אם הוא קיים בתוצאת ה-JSON
service_pack_major מוחזר אם הוא קיים בתוצאת ה-JSON
system_product_name מוחזר אם הוא קיים בתוצאת ה-JSON
product_type מוחזר אם הוא קיים בתוצאת ה-JSON
local_ip מוחזר אם הוא קיים בתוצאת ה-JSON
external_ip מוחזר אם הוא קיים בתוצאת ה-JSON
cid מוחזר אם הוא קיים בתוצאת ה-JSON
platform_name מוחזר אם הוא קיים בתוצאת ה-JSON
config_id_base מוחזר אם הוא קיים בתוצאת ה-JSON
policies מוחזר אם הוא קיים בתוצאת ה-JSON
last_seen מוחזר אם הוא קיים בתוצאת ה-JSON
pointer_size מוחזר אם הוא קיים בתוצאת ה-JSON
agent_version מוחזר אם הוא קיים בתוצאת ה-JSON
תובנה לגבי ישות

לא רלוונטי

קיר נרתיק הטעינה
סוג התוצאות ערך / תיאור סוג
הודעת פלט* הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:
אם הפעולה הצליחה ונמצא לפחות מארח אחד שקשור ל-IOC שסופקו (is_success=true): "Successfully retrieved hosts related to the provided IOCs in CrowdStrike Falcon."‎
אם לא נמצאו מארחים קשורים (is_success=false): "No hosts were related to the provided IOCs in CrowdStrike Falcon."‎
הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם מדווחת שגיאה קריטית: "Error executing action "{action name}". הסיבה: {traceback}."		 כללי

אחזור שם התהליך לפי IOC – הוצא משימוש

אחזור תהליכים שקשורים ל-IOC ולמכשירים שצוינו ב-CrowdStrike Falcon. ישויות נתמכות: שם מארח, כתובת URL, כתובת IP וגיבוב.
הערה: ישויות של שם מארח נחשבות לאינדיקטורים לפריצה (IOC) של דומיין. הפעולה מחלצת את החלק של הדומיין מכתובות ה-URL. רק ערכי הגיבוב MD5, ‏ SHA-1 ו-SHA-256 נתמכים. הישויות של כתובות ה-IP נחשבות לאינדיקטורים לפריצה (IOC).

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שמות המכשירים 11 לא רלוונטי כן צריך לציין רשימה מופרדת בפסיקים של מכשירים שרוצים לאחזר תהליכים שקשורים לישויות שלהם.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • שם המארח
  • כתובת URL
  • גיבוב (hash)

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
שם התהליך מוחזר אם הוא קיים בתוצאת ה-JSON
אינדיקטור מוחזר אם הוא קיים בתוצאת ה-JSON
שם המארח מוחזר אם הוא קיים בתוצאת ה-JSON
תובנות לגבי ישויות

לא רלוונטי

קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט* הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:
אם נמצאו תהליכים שקשורים לישויות בנקודת קצה אחת לפחות (is_success=true): "Successfully retrieved processes related to the IOCs on the following endpoints in CrowdStrike Falcon: {device name}."‎
אם לא נמצאו תהליכים בנקודת קצה אחת לפחות או שהמכשיר לא נמצא (is_success=true): "לא נמצאו תהליכים קשורים בנקודות הקצה הבאות ב-CrowdStrike Falcon: ‏{device name}."
אם לא נמצאו תהליכים לכל נקודות הקצה או שלא נמצא אף אחד מהמכשירים (is_success=false): "לא נמצאו תהליכים קשורים בנקודות הקצה שצוינו ב-CrowdStrike Falcon.
הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם מדווחת שגיאה קריטית: "שגיאה בהפעלת "{action name}". הסיבה: {trace back}."

הסתרת המארחים

משתמשים בפעולה Hide Hosts כדי להסתיר מארח אחד או יותר ממסוף CrowdStrike Falcon.

הפעולה הזו פועלת בישויות הבאות של Google SecOps:

  • שם המארח
  • כתובת IP

קלט של הפעולה

הפעולה הסתרת מארחים דורשת את הפרמטרים הבאים:

פרמטר תיאור
Hostname

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של שמות מארחים שיוסתרו ב-CrowdStrike Falcon.

הפעולה מעבדת גם את ערכי הקלט שצוינו בפרמטר הזה וגם את הישויות Hostname ו-IP Address שמצורפות לבקשה.
Customer ID

זה שינוי אופציונלי.

מזהה הלקוח (CID) הייחודי של CrowdStrike שמשמש לטירגוט דייר ספציפי.

הפרמטר הזה נדרש ב-Falcon Flight Control או בסביבות עם כמה דיירים כדי לבצע את הפעולה ב-CID צאצא ספציפי.

ערכי פלט של פעולות

הפעולה הסתרת מארחים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרת ישויות לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Hide Hosts מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully hid the following hosts in Crowdstrike: HOSTS.

Action wasn't able to hide the following hosts in Crowdstrike: HOSTS.

None of the provided hosts were hidden.

 הפעולה בוצעה בהצלחה.
Error executing action "Hide Host". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Hide Hosts:

שם תוצאת הסקריפט ערך
is_success true או false

נקודת קצה (endpoint) שכלולה ב-Lift

משתמשים בפעולה Lift Contained Endpoint כדי להסיר את ההכלה של נקודת קצה ב-CrowdStrike Falcon.

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

קלט של הפעולה

כדי לבצע את הפעולה ביטול ההכלה של נקודת קצה (endpoint), צריך להזין את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Fail If Timeout אופציונלי

אם האפשרות הזו נבחרת וההכלה לא הוסרה בכל נקודות הקצה, הפעולה נכשלת.

האפשרות הזו מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Lift Contained Endpoint מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרת ישויות יש גישה
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
העשרת ישויות

הפעולה Lift Contained Endpoint תומכת בהעשרת הישויות הבאות:

שדה העשרה לוגיקה
status הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
modified_timestamp הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
major_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_platform הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
device_policies הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
meta הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
pointer_size הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
last_seen הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_local_time הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
first_seen הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_major הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_product_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type_desc הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
build_number הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
cid הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
local_ip הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
external_ip הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
hostname הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_build הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
minor_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
os_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_base הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
provision_status הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
mac_address הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_name הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
device_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_version הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Lift Contained Endpoint:

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }
הודעות פלט

הפעולה Lift Contained Endpoint מחזירה את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Waiting for containment lift to finish for the following endpoints: ENTITY_ID הודעה אסינכרונית.
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID

הפעולה נכשלה.

צריך לבדוק את סטטוס נקודת הקצה ואת ערך הפרמטר Fail If Timeout.
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Lift Contained Endpoint:

שם תוצאת הסקריפט ערך
is_success True או False

הצגת רשימה של נקודות חולשה במארח

משתמשים בפעולה List Host Vulnerabilities כדי להציג רשימה של נקודות החולשה שנמצאו במארח ב-CrowdStrike Falcon.

כדי לבצע את הפעולה הזו, צריך רישיון והרשאות ל-Falcon Spotlight.

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

קלט של הפעולה

הפעולה List Host Vulnerabilities דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Severity Filter אופציונלי

צריך לציין רשימה מופרדת בפסיקים של רמות חומרה של נקודות חולשה. אם לא מציינים שום דבר, הפעולה מטמיעה את כל נקודות החולשה הקשורות. ערכים אפשריים: Critical,‏ High,‏ Medium,‏ Low,‏ Unknown.
Create Insight אופציונלי

אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה לכל ישות שמכילה מידע סטטיסטי על נקודות חולשה קשורות.

האפשרות הזו מסומנת כברירת מחדל.
Max Vulnerabilities To Return אופציונלי

מציינים כמה נקודות חולשה להחזיר לכל מארח. אם לא מציינים ערך, הפעולה מעבדת את כל נקודות החולשה הקשורות.

ערך ברירת המחדל הוא 100.

ערכי פלט של פעולות

הפעולה List Host Vulnerabilities מספקת את הפלט הבא:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

ב-Case Wall, הפעולה List Host Vulnerabilities מציגה את הטבלה הבאה:

סוג: ישות

עמודות:

  • שם
  • Score
  • חוּמרה
  • סטטוס
  • אפליקציה
  • יש תיקון שגיאות
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה List Host Vulnerabilities:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}
הודעות פלט

הפעולה List Host Vulnerabilities מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully retrieved vulnerabilities for the following hosts: ENTITIES

No vulnerabilities were found for the following hosts: ENTITIES

הפעולה בוצעה בהצלחה.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.

הפעולה נכשלה.

צריך לבדוק את ערך הפרמטר Severity Filter.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה List Host Vulnerabilities:

שם תוצאת הסקריפט ערך
is_success True או False

רשימת המארחים

משתמשים בפעולה הצגת רשימת מארחים כדי להציג את המארחים הזמינים ב-CrowdStrike Falcon.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

הפעולה רשימת מארחים דורשת את הפרמטרים הבאים:

פרמטרים
Filter Logic אופציונלי

לוגיקה שבה המערכת תשתמש כשהיא מחפשת מארחים.

ערך ברירת המחדל הוא Equals.

אלה הערכים האפשריים:
  • Equals
  • Contains
Filter Value אופציונלי

ערך לשימוש בסינון מארחים.
Max Hosts To Return אופציונלי

מספר המארחים שיוחזרו.

ערך ברירת המחדל הוא 50.

הערך המקסימלי הוא 1000.

ערכי פלט של פעולות

הפעולה List Hosts מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Hosts:

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]
הודעות פלט

הפעולה רשימת מארחים מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully retrieved available hosts based on the provided criteria.

No hosts were found for the provided criteria.

 הפעולה בוצעה בהצלחה.
Error executing action "List Hosts". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה List Hosts:

שם תוצאת הסקריפט ערך
is_success True או False

הצגת רשימה של אינדיקטורים לפריצה (IOC) שהועלו

כדי להציג את רשימת ה-IOC המותאמים אישית שזמינים ב-CrowdStrike Falcon, משתמשים בפעולה List Uploaded IOCs.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

הפעולה List Uploaded IOCs דורשת את הפרמטרים הבאים:

פרמטרים
IOC Type Filter אופציונלי

רשימה מופרדת בפסיקים של סוגי ה-IOC שרוצים להחזיר.

ערך ברירת המחדל הוא ipv4,ipv6,md5,sha1,sha256,domain.

אלה הערכים האפשריים:
  • ipv4
  • ipv6
  • md5
  • sha1
  • sha256
  • domain
Value Filter Logic אופציונלי

ערך של לוגיקת הסינון.

ערך ברירת המחדל הוא Equal.

אלה הערכים האפשריים:
  • Equal
  • Contains

אם מוגדר Equal, הפעולה מנסה למצוא התאמה מדויקת בין ה-IOC.
אם מוגדר Contains, הפעולה מנסה למצוא IOC שמכילים את המחרוזת שנבחרה.
Value Filter String אופציונלי

מחרוזת לחיפוש ב-IOC.
Max IOCs To Return אופציונלי

מספר ה-IOC שיוחזרו.

ערך ברירת המחדל הוא 50.

הערך המקסימלי הוא 500.

ערכי פלט של פעולות

הפעולה List Uploaded IOCs מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

ב-Case Wall, הפעולה List Uploaded IOCs מציגה את הטבלה הבאה:

עמודות:

  • פעולה
  • חוּמרה
  • חתם/ה
  • היטים של AV
  • פלטפורמות
  • תגים
  • נוצר בתאריך
  • נוצר על ידי

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Uploaded IOCs:

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "internal@example.com",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "internal@example.com"
        }
הודעות פלט

הפעולה List Uploaded IOCs מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon. הפעולה בוצעה בהצלחה.
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.

הפעולה נכשלה.

צריך לבדוק את האיות ואת ערך הפרמטר IOC Type Filter.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה List Uploaded IOCs:

שם תוצאת הסקריפט ערך
is_success True או False

סריקה על פי דרישה

משתמשים בפעולה סריקה על פי דרישה כדי לסרוק את נקודת הקצה על פי דרישה ב-CrowdStrike.

הפעולה הזו פועלת רק במארחים של Windows ובישויות הבאות:

  • כתובת IP
  • שם המארח

הפעולה סריקה על פי דרישה פועלת באופן אסינכרוני. אם צריך, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE.

קלט של הפעולה

הפעולה סריקה על פי דרישה דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
File Paths To Scan חובה

רשימה מופרדת בפסיקים של נתיבים לסריקה.

ערך ברירת המחדל הוא C:\Windows.
File Paths To Exclude From Scan אופציונלי

רשימה מופרדת בפסיקים של נתיבים שיוחרגו מהסריקה.
Host Group Name אופציונלי

רשימה מופרדת בפסיקים של שמות קבוצות מארחים שרוצים להתחיל לסרוק.

הערה: תהליך סריקה נפרד נוצר לכל קבוצת מארחים.
Scan Description אופציונלי

תיאור הסריקה. אם לא מציינים ערך, הפעולה מגדירה את התיאור בתור Scan initialized by Chronicle SecOps.
CPU Priority אופציונלי

כמות המעבד (CPU) שבה המארח הבסיסי ישתמש במהלך הסריקה.

ערכים אפשריים: Up to 1% CPU utilization,‏ Up to 25% CPU utilization,‏ Up to 50% CPU utilization,‏ Up to 75% CPU utilization,‏ Up to 100% CPU utilization.

ערך ברירת המחדל הוא Up to 25% CPU utilization.
Sensor Anti-malware Detection Level אופציונלי

מציינים את רמת הזיהוי של תוכנות זדוניות בחיישן.

הערה: רמת הזיהוי חייבת להיות שווה לרמת המניעה או גבוהה ממנה.

ערכים אפשריים: Cautious,‏ Moderate,‏ Aggressive,‏ Extra Aggressive.

ערך ברירת המחדל הוא Moderate.
Sensor Anti-malware Prevention Level אופציונלי

מציינים את רמת ההגנה של החיישן מפני תוכנות זדוניות.

הערה: רמת הזיהוי חייבת להיות שווה לרמת המניעה או גבוהה ממנה.

ערכים אפשריים: Cautious,‏ Moderate,‏ Aggressive,‏ Extra Aggressive,‏ Disabled.

ערך ברירת המחדל הוא Moderate.
Cloud Anti-malware Detection Level אופציונלי

מציינים את רמת הזיהוי של תוכנות זדוניות בענן.

הערה: רמת הזיהוי חייבת להיות שווה לרמת המניעה או גבוהה ממנה.

ערכים אפשריים: Cautious,‏ Moderate,‏ Aggressive,‏ Extra Aggressive.

ערך ברירת המחדל הוא Moderate.
Cloud Anti-malware Prevention Level אופציונלי

מציינים את רמת המניעה של תוכנות זדוניות בענן.

הערה: רמת הזיהוי חייבת להיות שווה לרמת המניעה או גבוהה ממנה.

ערכים אפשריים: Cautious,‏ Moderate,‏ Aggressive,‏ Extra Aggressive,‏ Disabled.

ערך ברירת המחדל הוא Moderate.
Quarantine Hosts אופציונלי

אם האפשרות הזו נבחרת, המארחים הבסיסיים מועברים להסגר כחלק מהסריקה.

האפשרות הזו לא מסומנת כברירת מחדל.
Create Endpoint Notification אופציונלי

אם האפשרות הזו נבחרת, תהליך הסריקה יוצר התראה בנקודת הקצה.

האפשרות הזו מסומנת כברירת מחדל.
Max Scan Duration אופציונלי

מספר השעות להרצת סריקה. אם לא מציינים ערך, הסריקה פועלת ברציפות.

ערך ברירת המחדל הוא 1.
Hostname אופציונלי

רשימה מופרדת בפסיקים של שמות מארחים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.

ערכי פלט של פעולות

הפעולה סריקה על פי דרישה מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה On-Demand Scan:

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}
הודעות פלט

הפעולה On-Demand Scan מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES

Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances.

None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created.

Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS

The following host groups were not found in CrowdStrike: HOST_GROUPS

None of the provided host groups were found in CrowdStrike.

Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS

הפעולה בוצעה בהצלחה.

Error executing action "On-Demand Scan". Reason: ERROR_REASON

Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה On-Demand Scan:

שם תוצאת הסקריפט ערך
is_success True או False

פינג

משתמשים בפעולה פינג כדי לבדוק את הקישוריות ל-CrowdStrike Falcon.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
תוצאת הסקריפט יש גישה
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט ערך
is_success True או False

הרצת הסקריפט

משתמשים בפעולה הפעלת סקריפט כדי להריץ סקריפט PowerShell בנקודות הקצה ב-CrowdStrike.

הפעולה הזו היא אסינכרונית. אם צריך, משנים את הערך של הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE.

הפעולה הזו פועלת על הישויות "כתובת IP" ו"שם מארח".

קלט של הפעולה

הפעולה הפעלת סקריפט דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID אופציונלי

מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Script Name אופציונלי

שם קובץ הסקריפט שצריך להפעיל.

הערה: צריך לספק את Script Name או את Raw Script. אם שניהם צוינו, המערכת תתעדף את Raw Script.
Raw Script אופציונלי

מטען ייעודי (payload) גולמי של סקריפט PowerShell שצריך להפעיל בנקודות הקצה.

הערה: צריך לספק את Script Name או את Raw Script. אם שניהם צוינו, המערכת תתעדף את Raw Script.
Hostname אופציונלי

רשימה מופרדת בפסיקים של שמות מארחים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Device ID אופציונלי

רשימה מופרדת בפסיקים של מזהי המכשירים שבהם רוצים לבצע את הפעולה.

הערה: הפעולה מתבצעת גם על הישויות שמצורפות לבקשה וגם על ערכי הפרמטרים האלה.
Queue Offline אופציונלי

אם האפשרות הזו נבחרת, פקודות שמטרגטות מארחים אופליין מתווספות לתור ומבוצעות כשהמארח מתחבר מחדש לרשת.

האפשרות הזו לא מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה הפעלת סקריפט מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

ב-Case Wall, הפעולה Run Script מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Script wasn't executed on the provided endpoints in CrowdStrike.

Waiting for the scripts to finish execution on the following endpoints: ENTITIES

 הפעולה בוצעה בהצלחה.

Error executing action "Run Script". Reason: ERROR_REASON

Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Run Script:

שם תוצאת הסקריפט ערך
is_success True או False

חיפוש אירועים

אתם יכולים להשתמש בפעולה חיפוש אירועים כדי להריץ שאילתות אסינכרוניות לחיפוש אירועים במאגרים של CrowdStrike Falcon SIEM מהדור הבא (LogScale).

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה חיפוש אירועים דורשת את הפרמטרים הבאים:

פרמטרים
Repository חובה

מאגר לחיפוש.

הערכים האפשריים הם:

  • All
  • Falcon
  • Third Party
  • IT Automation
  • Forensics

ערך ברירת המחדל הוא All.
Query חובה

שאילתה להפעלה ב-CrowdStrike.
Time Frame אופציונלי

מסגרת הזמן של התוצאות.

אם בוחרים באפשרות Custom, צריך לספק גם את Start Time.

הערכים האפשריים הם:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

ערך ברירת המחדל הוא Last Hour.
Start Time אופציונלי

שעת ההתחלה של התוצאות בפורמט ISO 8601.

אם הפרמטר Custom מוגדר ב-Time Frame, חובה להשתמש בפרמטר הזה.
End Time אופציונלי

שעת הסיום של התוצאות בפורמט ISO 8601.

אם לא צוין ערך ו-Custom מוגדר ב-Time Frame, הפעולה משתמשת בשעה הנוכחית כשעת הסיום.
Max Results To Return אופציונלי

המספר המקסימלי של תוצאות שיוחזרו לשאילתה.

הערך המקסימלי הוא 1000.

ערך ברירת המחדל הוא 50.

ערכי פלט של פעולות

הפעולה חיפוש אירועים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

ב-Case Wall, הפעולה Search Events מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully returned results for the query "{query}" in CrowdStrike.


No results were found for the query "{query}" in CrowdStrike


Waiting for the search job to finish...


 הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק.

Error executing action "Search Events".

Reason: {0}''.format(error.Stacktrace)


Error executing action "Search Events".

Reason: {0}''.format(message)


Error executing action "Search Events".

Reason: query Job {query id} has expired.

Please decrease the async polling interval.

הפעולה נכשלה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה חיפוש אירועים:

שם תוצאת הסקריפט ערך
is_success True או False

שליחת הקובץ

משתמשים בפעולה שליחת קובץ כדי לשלוח קבצים לארגז חול ב-CrowdStrike.

נדרשת פעולה זו ונדרש רישיון ל-Falcon Sandbox.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

פורמטים נתמכים של קבצים וארכיונים

לפי הפורטל של CrowdStrike, ארגז החול תומך בפורמטים הבאים של קבצים:

פורמטים נתמכים של קבצים
.exe, .scr, .pif, .dll, .com, .cpl קובצי הפעלה ניידים
.doc, .docx, .ppt, .pps, .pptx, .ppsx, .xls, .xlsx, .rtf, .pub מסמכי Office
.pdf PDF
.apk APK
.jar קובץ JAR להפעלה
.sct רכיב סקריפט של Windows
.lnk קיצור דרך של Windows
.chm עזרה בנושא Windows
.hta אפליקציית HTML
.wsf קובץ סקריפט של Windows
.js JavaScript
.vbs, .vbe Visual Basic
.swf Shockwave Flash
.pl Perl
.ps1, .psd1, .psm1 Powershell
.svg גרפיקה וקטורית ניתנת להתאמה (SVG)
.py Python
.elf קובצי הפעלה של Linux ELF
.eml קובצי אימייל: MIME RFC 822
.msg שליחת קבצים באימייל: Outlook

לפי פורטל CrowdStrike, ארגז החול תומך בפורמטים הבאים של קובצי ארכיון:

  • .zip
  • .7z

קלט של הפעולה

הפעולה שליחת קובץ דורשת את הפרמטרים הבאים:

פרמטרים
File Paths חובה

רשימה של נתיבים מוחלטים לקבצים שנשלחו.

הפורמט תלוי בפריסה:

  • פריסת SaaS – הנתיבים הם פנימיים לפלטפורמה המארחת.
  • פריסה מרחוק – הנתיבים חייבים להיות נתיבי קבצים מוחלטים ותקינים במחשב המקומי שבו מותקן הסוכן המרוחק (למשל, C:\temp\download ב-Windows או /var/tmp/download/ ב-Linux).

רשימה של פורמטים נתמכים של קבצים מופיעה במאמר פורמטים נתמכים של קבצים וארכיונים.
Sandbox Environment אופציונלי

סביבת ארגז חול לניתוח.

ערך ברירת המחדל הוא Windows 10, 64-bit.

הערכים האפשריים הם:
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment אופציונלי

סביבת רשת לניתוח.

ערך ברירת המחדל הוא Default.

הערכים האפשריים הם:
  • Default
  • TOR
  • Offline
  • Simulated
Archive Password אופציונלי

סיסמה לשימוש כשעובדים עם קובצי ארכיון.
Document Password אופציונלי

סיסמה לשימוש בעבודה עם קובצי Adobe או Office.

האורך המקסימלי של הסיסמה הוא 32 תווים.
Check Duplicate אופציונלי

אם האפשרות הזו נבחרת, הפעולה בודקת אם הקובץ כבר נשלח בעבר ומחזירה את הדוח הזמין.

במהלך האימות, הפעולה לא מתייחסת לפרמטרים Network Environment ו-Sandbox Environment .

האפשרות הזו מסומנת כברירת מחדל.
Comment אופציונלי

תגובה לשליחה.
Confidential Submission אופציונלי

אם האפשרות הזו נבחרת, הקובץ מוצג רק למשתמשים בחשבון הלקוח שלכם.

האפשרות הזו לא מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Submit File מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

ב-Case Wall, הפעולה Submit File מציגה את הטבלה הבאה:

עמודות:

  • תוצאות
  • שם
  • ציון האיום
  • החלטה
  • תגים
הודעות פלט

הפעולה שליחת קובץ מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully returned details about the following files using CrowdStrike: PATHS

Action wasn't able to return details about the following files using CrowdStrike: PATHS

 הפעולה בוצעה בהצלחה.

Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files.

None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

הפעולה החזירה שגיאה.

בודקים את פורמטי הקבצים הנתמכים לפעולה הזו.

Waiting for results for the following files: PATHS הודעה אסינכרונית.
Error executing action "Submit File". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

הפעולה נכשלה.

מגדילים את זמן הקצוב לתפוגה ב-IDE.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Submit File:

שם תוצאת הסקריפט ערך
is_success True או False

שליחת כתובת URL

משתמשים בפעולה שליחת כתובת URL כדי לשלוח כתובות URL לארגז חול ב-CrowdStrike.

כדי לבצע את הפעולה הזו, נדרש רישיון ל-Falcon Sandbox. כדי לבדוק באילו פורמטים של קבצים ארגז החול תומך, עיינו בקטע פורמטים נתמכים של קבצים וארכיונים במסמך הזה.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Submit URL דורשת את הפרמטרים הבאים:

פרמטרים
URLs חובה

כתובות ה-URL שצריך לשלוח.
Sandbox Environment אופציונלי

סביבת ארגז חול לניתוח.

ערך ברירת המחדל הוא Windows 10, 64-bit.

הערכים האפשריים הם:
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment אופציונלי

סביבת רשת לניתוח.

ערך ברירת המחדל הוא Default.

הערכים האפשריים הם:
  • Default
  • TOR
  • Offline
  • Simulated
Check Duplicate אופציונלי

אם בוחרים באפשרות הזו, הפעולה בודקת אם כתובת ה-URL כבר נשלחה בעבר ומחזירה את הדוח הזמין.

במהלך האימות, הפעולה לא מתייחסת לפרמטרים Network Environment ו-Sandbox Environment.

האפשרות הזו מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה שליחת כתובת URL מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Submit URL מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully returned details about the following URLs using CrowdStrike: PATHS

Action wasn't able to return details about the following URLs using CrowdStrike: PATHS

 הפעולה בוצעה בהצלחה.
Waiting for results for the following URLs: PATHS הודעה אסינכרונית.
Error executing action "Submit URL". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

הפעולה נכשלה.

מגדילים את זמן הקצוב לתפוגה ב-IDE.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Submit URL:

שם תוצאת הסקריפט ערך
is_success True או False

התראה על עדכון

משתמשים בפעולה עדכון התראה כדי לעדכן התראות ב-CrowdStrike Falcon.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה עדכון התראה דורשת את הפרמטרים הבאים:

פרמטרים
Alert ID חובה

המזהה של ההתראה שרוצים לעדכן.
Status אופציונלי

הסטטוס של ההתראה.

הערכים האפשריים הם:
  • Closed
  • In Progress
  • New
  • Reopened
Verdict אופציונלי

ההחלטה לגבי ההתראה.

הערכים האפשריים הם:
  • True Positive
  • False Positive
Assign To אופציונלי

השם של מנתח הנתונים שאליו רוצים להקצות את ההתראה.

אם מציינים את הערך Unassign בפרמטר, הפעולה מסירה את ההקצאה מההתראה.

ה-API מקבל כל ערך, גם אם המשתמש שצוין לא קיים במערכת.

ערכי פלט של פעולות

הפעולה Update Alert מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Update Alert:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
הודעות פלט

הפעולה עדכון ההתראה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully updated alert with ID ALERT_ID in CrowdStrike הפעולה בוצעה בהצלחה.

Error executing action "Update Alert". Reason: ERROR_REASON

Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Update Alert:

שם תוצאת הסקריפט ערך
is_success True או False

זיהוי עדכונים – הוצא משימוש

משתמשים בפעולה Update Detection כדי לעדכן את הזיהויים ב-CrowdStrike Falcon.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

הפעולה Update Detection דורשת את הפרמטרים הבאים:

פרמטר תיאור
Detection ID

חובה.

המזהה של הזיהוי שצריך לעדכן.
Status

חובה.

סטטוס זיהוי.

ערך ברירת המחדל הוא Select One.

הערכים האפשריים הם:
  • Select One
  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
  • closed
Assign Detection to

זה שינוי אופציונלי.

כתובת האימייל של המשתמש ב-CrowdStrike Falcon שהוקצה לו הזיהוי.

ערכי פלט של פעולות

הפעולה Update Detection מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Update Detection מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. הפעולה בוצעה בהצלחה.
Error executing action "Update Detection". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.

הפעולה נכשלה.

צריך לבדוק את הערכים של הפרמטרים Status ו-Assign Detection To.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Update Detection:

שם תוצאת הסקריפט ערך
is_success true או false

עדכון הזיהוי של הגנה על הזהות

משתמשים בפעולה Update Identity Protection Detection כדי לעדכן זיהוי של הגנה על זהות ב-CrowdStrike.

כדי לבצע את הפעולה הזו, צריך רישיון ל-Identity Protection.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

כדי להשתמש בפעולה Update Identity Protection Detection, צריך להגדיר את הפרמטרים הבאים:

פרמטרים
Detection ID חובה

המזהה של הזיהוי שצריך לעדכן.
Status אופציונלי

סטטוס הזיהוי.

ערך ברירת המחדל הוא Select One.

הערכים האפשריים הם:

  • Closed
  • Ignored
  • In Progress
  • New
  • Reopened
  • Select One
Assign to אופציונלי

שם האנליסט שהוקצה.

אם מציינים את Unassign, הפעולה מסירה את מקבל ההקצאה מהגילוי.

אם מציינים ערך לא חוקי, הפעולה לא משנה את מקבל ההקצאה הנוכחי.

ערכי פלט של פעולות

הפעולה Update Identity Protection Detection מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Update Identity Protection Detection:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
הודעות פלט

ב-Case Wall, הפעולה Update Identity Protection Detection מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike. הפעולה בוצעה בהצלחה.
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

הפעולה נכשלה.

מומלץ לבדוק את האיות.
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.

הפעולה נכשלה.

צריך לבדוק את הערכים של הפרמטרים Status ו-Assign to.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Update Identity Protection Detection:

שם תוצאת הסקריפט ערך
is_success True או False

עדכון אירוע – הוצא משימוש

משתמשים בפעולה עדכון אירוע כדי לעדכן אירועים ב-CrowdStrike.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Update Incident דורשת את הפרמטרים הבאים:

פרמטר תיאור
Incident ID

חובה.

המזהה של האירוע שרוצים לעדכן.
Status

זה שינוי אופציונלי.

הסטטוס של האירוע.

הערכים האפשריים הם:

  • Closed
  • In Progress
  • New
  • Reopened
Assign to

זה שינוי אופציונלי.

השם או כתובת האימייל של האנליסט שהוקצה.

אם מציינים את Unassign, הפעולה מסירה את מקבל ההקצאה מהאירוע.

כדי לציין שם, צריך להזין את השם הפרטי ושם המשפחה של האנליסט בפורמט הבא: "FIRST_NAME LAST_NAME"

ערכי פלט של פעולות

הפעולה Update Incident מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Update Incident:


 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }
הודעות פלט

הפעולה Update Incident מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully updated incident with ID INCIDENT_ID in CrowdStrike הפעולה בוצעה בהצלחה.
Error executing action "Update Incident". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

הפעולה נכשלה.

מומלץ לבדוק את האיות.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Update Incident:

שם תוצאת הסקריפט ערך
is_success True או False

עדכון פרטי ה-IOC

כדי לעדכן מידע על אינדיקטורים מותאמים אישית לפריצה ב-CrowdStrike Falcon, משתמשים בפעולה Update IOC Information.

הפעולה הזו מתייחסת לישויות של שם מארח כאל אינדיקטורים לפריצה (IOC) של דומיין, ומחלצת את החלק של הדומיין מכתובות ה-URL. הפעולה הזו תומכת רק בגיבובים של MD5 ו-SHA-256.

הפעולה עדכון פרטי IOC פועלת על הישויות הבאות:

  • שם המארח
  • כתובת URL
  • כתובת IP
  • גיבוב (hash)

קלט של הפעולה

הפעולה Update IOC Information דורשת את הפרמטרים הבאים:

פרמטרים
Description אופציונלי

תיאור חדש של אינדיקטורים מותאמים אישית לפריצה (IOC).
Source אופציונלי

מקור ל-IOC בהתאמה אישית.
Expiration days אופציונלי

מספר הימים שנותרו עד שתוקף הרישיון יפוג.

הפרמטר הזה משפיע רק על הישויות של כתובת ה-URL, כתובת ה-IP ושם המארח.

Detect policy אופציונלי

אם בוחרים באפשרות הזו, הפעולה שולחת התראה על ה-IOC שזוהו. אם לא בוחרים באפשרות הזו, הפעולה לא שולחת התראה.

האפשרות הזו מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Update IOC Information מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Update IOC Information:

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "internal@example.com",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
הודעות פלט

ב-Case Wall, הפעולה Update IOC Information מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Error executing action "Update IOC Information". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Update IOC Information:

שם תוצאת הסקריפט ערך
is_success True או False

העלאת IOC

משתמשים בפעולה העלאת אינדיקטורים לפריצה (IOC) כדי להוסיף אינדיקטורים לפריצה בהתאמה אישית ב-CrowdStrike Falcon.

הפעולה הזו מתייחסת לישויות של שם מארח כאל אינדיקטורים לפריצה (IOC) של דומיין, ומחלצת את החלק של הדומיין מכתובות ה-URL. הפעולה הזו תומכת רק בגיבובים של MD5 ו-SHA-256.

הפעולה Upload IOCs פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח
  • כתובת URL
  • גיבוב (hash)

קלט של הפעולה

הפעולה העלאת IOC דורשת את הפרמטרים הבאים:

פרמטרים
Platform חובה

רשימה מופרדת בפסיקים של פלטפורמות שקשורות ל-IOC.

ערך ברירת המחדל הוא Windows,Linux,Mac.

הערכים האפשריים הם:
  • Windows
  • Linux
  • Mac
Severity חובה

רמת החומרה של ה-IOC.

ערך ברירת המחדל הוא Medium.

הערכים האפשריים הם:
  • Informational
  • Low
  • Medium
  • High
  • Critical
Comment אופציונלי

תגובה שמכילה הקשר נוסף שקשור ל-IOC.
Host Group Name חובה

השם של קבוצת המארחים.
Action אופציונלי

פעולה לאינדיקטורים לפריצה (IOC) שהועלו.

ערך ברירת המחדל הוא Detect.

הערכים האפשריים הם:

  • Block
  • Detect

הערך Block רלוונטי רק לגיבובים מסוג MD5. הפעולה תמיד מחילה את המדיניות Detect על כל שאר סוגי ה-IOC.
Days To Expire אופציונלי

מספר הימים לפני שתוקף ה-IOC יפוג.

ערכי פלט של פעולות

הפעולה Upload IOCs מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Upload IOCs מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID

Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

הפעולה בוצעה בהצלחה.
Error executing action "Upload IOCs". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.

הפעולה נכשלה.

צריך לבדוק את ערך הפרמטר Host Group Name.
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.

הפעולה נכשלה.

צריך לבדוק את ערך הפרמטר Platform.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Upload IOCs:

שם תוצאת הסקריפט ערך
is_success True או False

מחברים

חשוב לוודא שהגדרתם את ההרשאות המינימליות לכל מחבר של CrowdStrike. לפרטים נוספים, עיינו בקטע הרשאות למחבר במסמך הזה.

במאמר הטמעת נתונים (מחברים) מוסבר איך מגדירים מחבר ב-Google SecOps.

אירועים ב-CrowdStrike

אירועים הם פיסות מידע שנאספות על ידי חיישני Falcon במארחים שלכם. יש ארבעה סוגים של אירועים ב-CrowdStrike:

סוגי אירועים של CrowdStrike
אירועי ביקורת של פעילות אימות אירועים שנוצרים בכל פעם שמתבצעת בקשה להרשאה, הרשאה או השלמה של הרשאה בנקודות קצה.
אירועי סיכום של זיהויים אירועים שנוצרים כשמזוהים איומים בנקודות קצה.
אירועי סיום של סשן תגובה מרחוק אירועים שנוצרו מסשנים מרוחקים בנקודות קצה.
אירועי ביקורת של פעילות משתמשים אירועים שנוצרו כדי לעקוב אחרי פעילויות שבוצעו על ידי משתמשים פעילים בנקודות קצה.

המחברים מעבירים אירועים ל-Google SecOps כדי ליצור התראות ולהעשיר את בקשות התמיכה בנתוני אירועים. אתם יכולים לבחור אילו אירועים להטמיע ב-Google SecOps: כל סוגי האירועים או רק סוגים נבחרים.

הוצא משימוש: מחבר CrowdStrike Detections

משתמשים ב-CrowdStrike Detections Connector כדי לשלוף זיהויים מ-CrowdStrike.

הרשימה הדינמית פועלת עם מסננים שנתמכים על ידי CrowdStrike API.

איך עובדים עם הרשימה הדינמית

כשעובדים עם הרשימה הדינמית, חשוב לפעול לפי ההמלצות הבאות:

  • משתמשים בשפת CrowdStrike FQL כדי לשנות את המסנן שנשלח על ידי המחבר.
  • צריך להוסיף רשומה נפרדת ברשימה הדינמית לכל מסנן.
  • כדי להטמיע את כל הזיהויים שהוקצו לאנליסט ספציפי, צריך לוודא שהאנליסט מספק את הרשומה הבאה ברשימה הדינמית: 
    assigned_to_name:'ANALYST_USER_NAME'

הרשימה הדינמית תומכת בפרמטרים הבאים:

פרמטרים נתמכים תיאור
q חיפוש טקסט מלא בכל שדות המטא-נתונים.
date_updated התאריך של עדכון הזיהוי האחרון.
assigned_to_name שם המשתמש של מקבל ההקצאה של הגילוי, בפורמט שקריא לאנשים.
max_confidence

אם לזיהוי יש יותר מהתנהגות משויכת אחת עם רמות סמך שונות, השדה הזה מתעד את ערך המהימנות הגבוה ביותר מבין כל ההתנהגויות.

ערך הפרמטר יכול להיות כל מספר שלם מ-1 עד 100.
detection_id מזהה הזיהוי שאפשר להשתמש בו בשילוב עם ממשקי API אחרים, כמו Detection Details API או Resolve Detection API.
max_severity

אם לזיהוי מסוים משויכת יותר מהתנהגות אחת עם רמות חומרה שונות, השדה הזה מתעד את ערך החומרה הגבוה ביותר מבין כל ההתנהגויות.

ערך הפרמטר יכול להיות כל מספר שלם מ-1 עד 100.
max_severity_displayname

השם שמופיע בממשק המשתמש כדי לקבוע את חומרת הזיהוי.

הערכים האפשריים הם:

  • Critical
  • High
  • Medium
  • Low
seconds_to_triaged הזמן שנדרש כדי שהסטטוס של זיהוי ישתנה מ-new ל-in_progress.
seconds_to_resolved הזמן שנדרש כדי לשנות את הסטטוס של זיהוי מ-new לאחד מהסטטוסים של טיפול (true_positive,‏ false_positive,‏ ignored ו-closed).
status

הסטטוס הנוכחי של הזיהוי.

הערכים האפשריים הם:

  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
adversary_ids ליריב שאחריו עוקב CrowdStrike Falcon Intelligence יש מזהה שמשויך להתנהגויות או לאינדיקטורים שיוחסו לו בזיהוי. המזהים האלה נמצאים במטא-נתונים של הזיהוי, שאפשר לגשת אליהם דרך Detection Details API.
cid מספר הלקוח (CID) של הארגון.

כניסות קלט של מחברים

כדי להשתמש ב-CrowdStrike Detections Connector צריך להגדיר את הפרמטרים הבאים:

פרמטר תיאור
Product Field Name

חובה.

שם השדה במקור שמכיל את השם של Product Field.

ערך ברירת המחדל הוא Product Name.
Event Field Name

חובה.

שם השדה במקור שמכיל את השם של Event Field.

ערך ברירת המחדל הוא behaviors_technique.
Environment Field Name

זה שינוי אופציונלי.

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern

זה שינוי אופציונלי.

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name.

משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.
Script Timeout (Seconds)

חובה.

מגבלת הזמן הקצוב לתפוגה בשניות לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 180.
API Root

חובה.

שורש ה-API של המכונה של CrowdStrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID

חובה.

מזהה הלקוח של חשבון CrowdStrike.
Client Secret

חובה.

סוד הלקוח של חשבון CrowdStrike.
Lowest Severity Score To Fetch

זה שינוי אופציונלי.

ציון החומרה הנמוך ביותר של הזיהויים שצריך לאחזר (מקסימום 100).

ערך ברירת המחדל הוא 50.
Lowest Confidence Score To Fetch

זה שינוי אופציונלי.

ציון הסמך הנמוך ביותר של הזיהויים שצריך לאחזר (עד 100).

ערך ברירת המחדל הוא 0.
Max Hours Backwards

זה שינוי אופציונלי.

מספר השעות שמהן המערכת תאחזר זיהויים.

ערך ברירת המחדל הוא 1.
Max Detections To Fetch

זה שינוי אופציונלי.

מספר הזיהויים לעיבוד באיטרציה אחת של מחבר.

ערך ברירת המחדל הוא 10.
Disable Overflow

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון ההעברה.
Verify SSL

חובה.

אם בוחרים באפשרות הזו, השילוב מאמת את אישור ה-SSL.
Proxy Server Address

זה שינוי אופציונלי.

כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username

זה שינוי אופציונלי.

שם משתמש של שרת proxy לאימות.
Proxy Password

זה שינוי אופציונלי.

סיסמת שרת proxy לאימות.
Case Name Template

זה שינוי אופציונלי.

פורמט הפלייסהולדר: [FIELD_NAME ].
Alert Name Template

זה שינוי אופציונלי.

פורמט הפלייסהולדר: [FIELD_NAME ].
Padding Period

זה שינוי אופציונלי.

מספר השעות שנוספו (מקסימום 6).
Include Hidden Alerts

זה שינוי אופציונלי.

אם היא מופעלת, המערכת מאחזרת התראות שמסומנות בתווית "מוסתרות".
Fallback Severity

זה שינוי אופציונלי.

הערך הזה מוחל אם לא צוינה רמת חומרה. ברירת המחדל: לידיעה.
Customer ID

זה שינוי אופציונלי.

מספר הלקוח בסביבות מרובות דיירים (MSSP).

כללי מחברים

המחבר תומך בשרתי proxy.

אירועי מחברים

דוגמה לאירוע של מחבר:


{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}

מחבר CrowdStrike Falcon Streaming Events

מחבר האירועים בסטרימינג של CrowdStrike Falcon מתאים לתרחישים הבאים:

  1. הטמעת נתונים של אירועי זיהוי.

    ‫CrowdStrike Falcon מזהה ניסיון להפעיל את הקובץ הזדוני SophosCleanM.exe בנקודת קצה. ‫CrowdStrike עוצרת את הפעולה ויוצרת התראה שמכילה גיבובים של קבצים בנתוני האירוע.

    אנליסט שמתעניין במוניטין של קבצים מריץ ערכי גיבוב (hash) שזוהו ב-VirusTotal ומגלה שערך גיבוב מסוים הוא זדוני. בשלב הבא, הפעולה של McAfee EDR מעבירה את הקובץ הזדוני להסגר.

  2. הטמעת נתונים של אירועי ביקורת של פעילות משתמשים.

    משתמשת ב-CrowdStrike, דני, מעדכנת את סטטוס הזיהוי מ-new ל-false-positive. פעולת המשתמש הזו יוצרת אירוע בשם detection_update.

    האנליסט מבצע מעקב כדי להבין למה דני סימן את הפעולה כחיובית מוטעית, ובודק את האירוע שנקלט שמכיל את המידע על הזהות של דני.

    בשלב הבא, האנליסט מפעיל את הפעולה Enrich Entities ב-Active Directory כדי לקבל פרטים נוספים על האירוע ולמצוא את דני בקלות רבה יותר.

  3. הטמעת נתונים של אירועי ביקורת של פעילות אימות.

    אירוע שמציין שדני יצר חשבון משתמש חדש והקצה לו תפקידי משתמש.

    כדי לחקור את האירוע ולהבין למה המשתמש נוצר, האנליסט משתמש במזהה המשתמש של דני כדי להריץ את הפעולה העשרת ישויות ב-Active Directory, ולגלות את תפקיד המשתמש של דני כדי לוודא שיש לו הרשאה להוסיף משתמשים חדשים.

  4. הטמעת נתונים של אירועי סיום של תגובה מרחוק.

    אירוע מרוחק מציין שלדני היה חיבור מרוחק למארח ספציפי, והוא הפעיל פקודות כמשתמש Root כדי לגשת לספרייה של שרת אינטרנט.

    כדי לקבל מידע נוסף על דני ועל המארח המעורב, מנתח הנתונים מריץ את הפעולה של Active Directory כדי להעשיר את המשתמש ואת המארח. על סמך המידע שהתקבל, יכול להיות שהמנתח יחליט להשעות את דני עד שיתברר מה מטרת החיבור מרחוק.

כניסות קלט של מחברים

כדי להשתמש ב-CrowdStrike Falcon Streaming Event Connector, צריך להגדיר את הפרמטרים הבאים:

פרמטרים
Product Field Name חובה

שם השדה במקור שמכיל את השם של Product Field.

ערך ברירת המחדל הוא device_product.
Event Field Name חובה

שם השדה במקור שמכיל את השם של Event Field.

ערך ברירת המחדל הוא Name.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
Alert Name Template אופציונלי

אם הוא צוין, המחבר משתמש בערך הזה בתור שם ההתראה ב-Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [FIELD_NAME], למשל פישינג – [event_mailbox].

הערה: אם לא תספקו ערך או תספקו תבנית לא חוקית, המחבר ישתמש בשם ברירת המחדל של ההתראה. המחבר משתמש באירוע הראשון של Google SecOps בשביל פלייסהולדרים. הפרמטר הזה מאפשר רק מפתחות עם ערך מחרוזת.
API Root חובה

שורש ה-API של המכונה של CrowdStrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID חובה

מזהה הלקוח של חשבון CrowdStrike.
Client Secret חובה

סוד הלקוח של חשבון CrowdStrike.
Event types אופציונלי

רשימה מופרדת בפסיקים של סוגי אירועים.

דוגמאות לסוגי האירועים:

  • DetectionSummaryEvent
  • IncidentSummaryEvent
  • AuthActivityAuditEvent
  • UserActivityAuditEvent
  • RemoteResponseSessionStartEvent
  • RemoteResponseSessionEndEvent
Max Days Backwards אופציונלי

מספר הימים שלפני היום שממנו רוצים לאחזר זיהויים.

ערך ברירת המחדל הוא 3.
Max Events Per Cycle אופציונלי

מספר האירועים לעיבוד באיטרציה אחת של המחבר.

ערך ברירת המחדל הוא 10.
Min Severity אופציונלי

אירועים להטמעה על סמך חומרת האירוע (אירועי זיהוי). הערך נע בין 0 ל-5.

אם נקלטים סוגי אירועים אחרים מלבד זיהויים, רמת החומרה שלהם מוגדרת כ--1 והמסנן הזה לא חל עליהם.
Disable Overflow אופציונלי

אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון הגלישה.

האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL חובה

אם בוחרים באפשרות הזו, השילוב מאמת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Script Timeout (Seconds) חובה

מגבלת הזמן הקצוב לתפוגה של תהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 60 שניות.
Proxy Server Address אופציונלי

כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם משתמש של שרת proxy לאימות.
Proxy Password אופציונלי

סיסמת שרת proxy לאימות.
Rule Generator Template אופציונלי

אם הוא מסופק, המחבר משתמש בערך הזה בשביל מחולל הכללים של Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [FIELD_NAME], למשל פישינג – [event_mailbox].

אם לא תציינו ערך או תציינו תבנית לא חוקית, המחבר ישתמש במחולל הכללים שמוגדר כברירת מחדל.

המחבר משתמש באירוע הראשון של Google SecOps בשביל פלייסהולדרים.

הפרמטר הזה מאפשר רק מפתחות עם ערך מחרוזת.
Customer ID אופציונלי

מספר הלקוח של הדייר (tenant) שבו צריך להפעיל את המחבר. לשימוש בסביבות עם כמה דיירים (MSSP).

כללי מחברים

המחבר הזה תומך בשרתי proxy.

המחבר הזה לא תומך ברשימה הדינמית.

מחבר CrowdStrike Identity Protection Detections

משתמשים ב-CrowdStrike Identity Protection Detections Connector כדי לשלוף את הזיהויים של הגנה על זהות מ-CrowdStrike. הרשימה הדינמית פועלת עם הפרמטר display_name.

כדי להשתמש במחבר הזה, צריך רישיון ל-Identity Protection.

כניסות קלט של מחברים

כדי להשתמש ב-CrowdStrike Identity Protection Detections Connector צריך להגדיר את הפרמטרים הבאים:

פרמטרים
Product Field Name חובה

שם השדה במקור שמכיל את השם של Product Field.

ערך ברירת המחדל הוא Product Name.
Event Field Name חובה

שם השדה במקור שמכיל את השם של Event Field.

ערך ברירת המחדל הוא behaviors_technique.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
Script Timeout (Seconds) חובה

מגבלת הזמן הקצוב לתפוגה בשניות לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 180.
API Root חובה

שורש ה-API של המכונה של CrowdStrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID חובה

מזהה הלקוח של חשבון CrowdStrike.
Client Secret חובה

סוד הלקוח של חשבון CrowdStrike.
Lowest Severity Score To Fetch אופציונלי

ציון החומרה הנמוך ביותר של הזיהויים שצריך לאחזר.

אם לא מציינים ערך, המחבר לא מחיל את המסנן הזה.

הערך המקסימלי הוא 100.

ערך ברירת המחדל הוא 50.

המחבר תומך גם בערכים הבאים של הפרמטר הזה:

  • Low
  • Medium
  • High
  • Critical
Lowest Confidence Score To Fetch אופציונלי

ציון המהימנות הנמוך ביותר של הזיהויים שצריך לאחזר.

אם לא מציינים ערך, המחבר לא מחיל את המסנן הזה.

הערך המקסימלי הוא 100.

ערך ברירת המחדל הוא 0.
Max Hours Backwards אופציונלי

מספר השעות לפני הזמן הנוכחי שמהן צריך לאחזר זיהויים.

ערך ברירת המחדל הוא 1.
Max Detections To Fetch אופציונלי

מספר הזיהויים לעיבוד באיטרציה אחת של מחבר.

ערך ברירת המחדל הוא 10.
Case Name Template אופציונלי

אם הוא צוין, המחבר מוסיף מפתח חדש בשם custom_case_name לאירוע ב-Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [FIELD_NAME], למשל פישינג – [event_mailbox].

הערה: המחבר משתמש באירוע הראשון של Google SecOps בשביל placeholders. הפרמטר הזה מאפשר רק מפתחות עם ערך מחרוזת.
Alert Name Template אופציונלי

אם הוא צוין, המחבר משתמש בערך הזה בתור שם ההתראה ב-Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [FIELD_NAME], למשל פישינג – [event_mailbox].

הערה: אם לא תספקו ערך או תספקו תבנית לא חוקית, המחבר ישתמש בשם ברירת המחדל של ההתראה. המחבר משתמש באירוע הראשון של Google SecOps כפלייסהולדר. הפרמטר הזה מאפשר רק מפתחות עם ערך מחרוזת.
Disable Overflow אופציונלי

אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון הגלישה.

האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL חובה

אם בוחרים באפשרות הזו, השילוב מאמת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address אופציונלי

כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם משתמש של שרת proxy לאימות.
Proxy Password אופציונלי

סיסמת שרת proxy לאימות.
Customer ID אופציונלי

מספר הלקוח של הדייר (tenant) שבו צריך להפעיל את המחבר. לשימוש בסביבות עם כמה דיירים (MSSP).

כללי מחברים

המחבר הזה תומך בשרתי proxy.

אירוע של מחבר

דוגמה לאירוע של המחבר:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

הוצא משימוש: מחבר CrowdStrike Incidents

משתמשים ב-CrowdStrike Incidents Connector כדי לאחזר אירועים והתנהגויות קשורות מ-CrowdStrike.

הרשימה הדינמית פועלת עם הפרמטר incident_type.

פרמטרים של מחברים

כדי להשתמש ב-CrowdStrike Incidents Connector צריך להגדיר את הפרמטרים הבאים:

פרמטר תיאור
Product Field Name

חובה.

שם שדה המקור שמכיל את השם של Product Field.

ערך ברירת המחדל הוא Product Name.
Event Field Name

חובה.

שם שדה המקור שמכיל את השם של Event Field.

ערך ברירת המחדל הוא data_type.
Environment Field Name

זה שינוי אופציונלי.

שם השדה שבו מאוחסן שם הסביבה. אם היא לא נמצאת, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern

זה שינוי אופציונלי.

תבנית של ביטוי רגולרי לשינוי הערך של שדה הסביבה.

כדי לאחזר את הערך הגולמי, משתמשים בברירת המחדל .*.
Script Timeout (Seconds)

חובה.

מגבלת הזמן הקצוב לתפוגה של תהליך Python.

ערך ברירת המחדל הוא 180.
API Root

חובה.

שורש ה-API של המכונה של CrowdStrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID

חובה.

מזהה הלקוח של חשבון CrowdStrike.
Client Secret

חובה.

סוד הלקוח של חשבון CrowdStrike.
Lowest Severity Score To Fetch

זה שינוי אופציונלי.

ציון החומרה הנמוך ביותר של אירועים שצריך לאחזר. תמיכה בערכים Low, Medium, High, Critical או בערכים מספריים עד 100.
Max Hours Backwards

זה שינוי אופציונלי.

חלון המבט לאחור של השליפה בשעות.

ערך ברירת המחדל הוא 1.
Max Incidents To Fetch

זה שינוי אופציונלי.

מספר האירועים בכל איטרציה. המספר המקסימלי הוא 100.

ערך ברירת המחדל הוא 10.
Use dynamic list as a blocklist

חובה.

אם בוחרים באפשרות הזו, הרשימה הדינמית פועלת כרשימת חסימה.
Disable Overflow

זה שינוי אופציונלי.

אם האפשרות הזו נבחרת, המערכת מתעלמת ממנגנון ההעברה.
Verify SSL

חובה.

מאמת את אישור ה-SSL של החיבור.
Proxy Parameters

זה שינוי אופציונלי.

כולל Proxy Server Address, Proxy Username ו-Proxy Password.
Customer ID

זה שינוי אופציונלי.

מזהה הדייר בסביבות עם כמה דיירים (MSSP).

כללי מחברים

המחבר הזה תומך בשרתי proxy.

אירועי מחברים

המחבר תומך בשני סוגי אירועים: מבוססי-תקריות ומבוססי-התנהגות.

דוגמה: אירוע שמבוסס על תקרית


 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

דוגמה: אירוע שמבוסס על התנהגות


 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

‫CrowdStrike – מחבר התראות

משתמשים ב-CrowdStrike – Alerts Connector כדי לשלוף התראות מ-CrowdStrike. הרשימה הדינמית פועלת עם הפרמטר display_name.

כדי לאחזר זיהויים של הגנה על זהות, משתמשים ב-Identity Protection Detections Connector.

כניסות קלט של מחברים

כדי להשתמש ב-CrowdStrike – Alerts Connector צריך להגדיר את הפרמטרים הבאים:

פרמטרים
Product Field Name חובה

שם השדה במקור שמכיל את השם של Product Field.

ערך ברירת המחדל הוא Product Name.
Event Field Name חובה

שם השדה במקור שמכיל את השם של Event Field.

ערך ברירת המחדל הוא product.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
Script Timeout (Seconds) חובה

מגבלת הזמן הקצוב לתפוגה בשניות לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 180.
API Root חובה

שורש ה-API של המכונה של CrowdStrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID חובה

מזהה הלקוח של חשבון CrowdStrike.
Client Secret חובה

סוד הלקוח של חשבון CrowdStrike.
Case Name Template אופציונלי

אם הוא צוין, המחבר מוסיף מפתח חדש בשם custom_case_name לאירוע ב-Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [FIELD_NAME], למשל פישינג – [event_mailbox].

הערה: המחבר משתמש באירוע הראשון של Google SecOps בשביל placeholders. הפרמטר הזה מאפשר רק מפתחות עם ערך מחרוזת.
Alert Name Template אופציונלי

אם הוא צוין, המחבר משתמש בערך הזה בתור שם ההתראה ב-Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [FIELD_NAME], למשל פישינג – [event_mailbox].

הערה: אם לא תספקו ערך או תספקו תבנית לא חוקית, המחבר ישתמש בשם ברירת המחדל של ההתראה. המחבר משתמש באירוע הראשון של Google SecOps כפלייסהולדר. הפרמטר הזה מאפשר רק מפתחות עם ערך מחרוזת.
Lowest Severity Score To Fetch אופציונלי

ציון החומרה הנמוך ביותר של האירועים שצריך לאחזר.

אם לא מציינים ערך, המחבר מטמיע אירועים בכל רמות החומרה.

הערך המקסימלי הוא 100.

המחבר תומך גם בערכים הבאים של הפרמטר הזה:
  • נמוכה
  • בינונית
  • גבוהה
  • קריטית

בממשק המשתמש של CrowdStrike, אותו ערך מוצג כשהוא מחולק ב-10.
Max Hours Backwards אופציונלי

מספר השעות לפני הזמן הנוכחי שמהן צריך לאחזר אירועים.

ערך ברירת המחדל הוא 1.
Max Alerts To Fetch אופציונלי

מספר ההתראות לעיבוד באיטרציה אחת של המחבר.

הערך המקסימלי הוא 100.

ערך ברירת המחדל הוא 10.
Use dynamic list as a blocklist חובה

אם בוחרים באפשרות הזו, המחבר משתמש ברשימה הדינמית כרשימת חסימה.

האפשרות הזו לא מסומנת כברירת מחדל.
Disable Overflow אופציונלי

אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון הגלישה.

האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL חובה

אם בוחרים באפשרות הזו, השילוב מאמת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address אופציונלי

כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם משתמש של שרת proxy לאימות.
Proxy Password אופציונלי

סיסמת שרת proxy לאימות.
Customer ID אופציונלי

מספר הלקוח של הדייר (tenant) שבו צריך להפעיל את המחבר. לשימוש בסביבות עם כמה דיירים (MSSP).

כללי מחברים

המחבר הזה תומך בשרתי proxy.

אירועי מחברים

דוגמה לאירוע שמבוסס על התראות:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

‫Crowdstrike Falcon – סנכרון התראות

משתמשים במשימה Crowdstrike Falcon - Sync Alerts כדי לסנכרן הערות וסטטוסים בשני הכיוונים בין Google SecOps ל-Crowdstrike.

דרישות התפקיד

כדי לוודא שהמשימה מזהה ומסנכרנת את הנתונים הנכונים, צריך לעמוד בתנאים הבאים:

  • הפנייה ב-Google SecOps חייבת לכלול את התג Crowdstrike Alert.

  • אם ההתראה לא הגיעה מ-Alerts Connector או מ-Identity Protections Detection Connector, צריך להוסיף ערך הקשר של התראה מסוג Alert_ID למשימה כדי לזהות את הרשומה הנכונה ב-Crowdstrike.

לוגיקה תפעולית

המשימה מסנכרנת נתונים בשני שלבים. בשלב הראשון, הנתונים של Crowdstrike מסונכרנים עם ההתראות של Google SecOps. בשלב השני, נתוני ההתראות של Google SecOps מסונכרנים עם ההתראות של Crowdstrike.

המשימה משתמשת ב-Max Hours Backwards לאיטרציה הראשונית. בכל הבקשות הבאות, המשימה משתמשת ב-start_time של ההתראה האחרונה שעובדה.

לוגיקת סנכרון התגובות

המשימה משתמשת ב-last_update_time כדי לסנן תגובות ולמנוע רשומות כפולות. התגובות המסונכרנות משתמשות במבנים הבאים:

  • נשלח מ-Crowdstrike: Crowdstrike {ticket_id}: {comment}

  • נשלח מ-Google SecOps: Google SecOps {case_id}: {comment}

גם ההערות על סגירת בקשות תמיכה ב-Google SecOps מסונכרנות עם Crowdstrike כהערות.

מיפוי סטטוסים ופסיקות

כשסוגרים התראה ב-Google SecOps, המשימה מעדכנת את ההתראה התואמת ב-Crowdstrike לסטטוס Closed. בנוסף, המשימה מחילה את המיפוי הבא על החלטות של מנתחים:

  • אם הסיבה לסגירה היא Malicious, ההחלטה של Crowdstrike מוגדרת כ-True Positive.

  • אם הסיבה לסגירה היא Not Malicious, ההחלטה של Crowdstrike מוגדרת כ-False Positive.

  • בכל שאר הסיבות לסגירה, הסטטוס מוגדר כ-Closed בלי פסיקה.

פרמטרים של משימות

למשימה Crowdstrike Falcon - Sync Alerts נדרשים הפרמטרים הבאים:

פרמטר תיאור
Environment Name

חובה.

שם הסביבה שבה המשימה מחפשת התראות.

ערך ברירת המחדל הוא Default Environment.
API Root

חובה.

שורש ה-API של המכונה של Crowdstrike.

ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID

חובה.

מזהה הלקוח של החשבון ב-Crowdstrike.
Client Secret

חובה.

סוד הלקוח של חשבון Crowdstrike.
Max Hours Backwards

חובה.

מספר השעות לפני השעה הנוכחית לסנכרון ההתראות במהלך האיטרציה הראשונה של המשימה.

ערך ברירת המחדל הוא 24.
Verify SSL

חובה.

אם בוחרים באפשרות הזו, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת של Crowdstrike.

מופעלת כברירת מחדל.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.